Zwei Vorfälle, nicht eine einzelne Schwachstelle
Im Jahr 2021 wurden zwei voneinander getrennte Schwachstellenketten in Microsoft Exchange Server bekannt und in großem Umfang ausgenutzt: ProxyLogon im März und ProxyShell im August. Beide betrafen vor allem selbst betriebene Exchange-Server. Sie werden oft gemeinsam genannt, dürfen technisch aber nicht zu einer einzigen CVE oder einem einzigen Ablauf zusammengezogen werden.
ProxyLogon: März 2021
Die ProxyLogon-Kette umfasste unter anderem CVE-2021-26855, eine vor der Anmeldung ausnutzbare SSRF-Schwachstelle, sowie weitere Exchange-Schwachstellen, die zusammen eine Serverkompromittierung ermöglichten. Dazu gehörten CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065. CISA veröffentlichte am 3. März 2021 eine Warnung und später laufend aktualisierte Hinweise.
Microsoft und CISA dokumentierten die Ausnutzung ungepatchter On-Premises-Server. Angreifer konnten nach erfolgreicher Kompromittierung unter anderem Webshells ablegen. Eine einzelne CVE erklärt die gesamte Angriffskette nicht; die Bewertung hängt davon ab, welche Schwachstellen kombiniert wurden und ob der Server verwundbar und erreichbar war.
ProxyShell: August 2021
ProxyShell bezeichnet eine weitere Kette mit CVE-2021-34473, CVE-2021-34523 und CVE-2021-31207. Die Fehler betrafen unter anderem Zugriffskontrolle, Rechteausweitung und das Schreiben von Dateien. Microsoft warnte am 25. August 2021, dass nicht aktualisierte Exchange-Server für Ransomware und weitere Folgeaktivitäten verwundbar waren.
Auch hier gilt: Die Einzelbewertungen unterscheiden sich je CVE; nicht jede Komponente der Kette hatte denselben CVSS-Wert. Der gemeinsame betriebliche Risikofaktor war ein internet-erreichbarer Exchange-Server ohne die dafür veröffentlichten Sicherheitsupdates.
Was Betreiber daraus lernen sollten
- Aktualisieren Sie unterstützte Exchange-Server mit dem aktuellen kumulativen Update und allen anwendbaren Sicherheitsupdates des Herstellers.
- Behandeln Sie nicht unterstützte Versionen als eigenes Risiko und planen Sie den Wechsel auf eine unterstützte Plattform. Ein einmaliger Hotfix ersetzt keine dauerhaft gepflegte Update-Basis.
- Prüfen Sie nach einer verspäteten Aktualisierung, ob der Server vor dem Patch bereits kompromittiert wurde. Ein Update entfernt keine vorhandenen Webshells oder anderen Persistenzmechanismen.
- Folgen Sie den aktuellen CISA- und Microsoft-Hinweisen für die Prüfung und Reaktion. Ältere Indicators of Compromise sind zeit- und kampagnenabhängig.
- Dokumentieren Sie öffentlich erreichbare Management- und Mail-Infrastruktur in einem aktuellen Inventar, damit Notfallupdates schnell zugeordnet werden können.
ProxyLogon und ProxyShell sind ein Beispiel für die Asymmetrie zwischen zentraler Infrastruktur und dezentralen Patch-Prozessen. Ein Mailserver kann für ein Unternehmen geschäftskritisch sein, aber über Monate ungepatcht bleiben, wenn Zuständigkeit, Version und Wartungsweg nicht klar sind.